Eine Webanwendung vor dem Produktivgang testen
Eine Anwendung geht mit geprüften Funktionen und vermuteter Sicherheit live. Der applikative Penetrationstest macht aus dieser Vermutung einen Befund — bevor jemand anderes das übernimmt.
Was ein Scanner nie finden wird
Die automatisierte Analyse deckt den Grossteil der bekannten technischen Mängel ab: veraltete Bibliotheken, fehlende Header, klassische Injections. Das ist nützlich, das ist schnell, und es gehört gemacht. Nur kennt ein Scanner Ihr Geschäft nicht.
Die teuersten Mängel liegen aber genau in Ihrer Logik: eine Bestellnummer, die sich hochzählen lässt, um das Dossier des nächsten Kunden zu lesen; eine Rolle, deren Berechtigung nur bei der Anzeige und nicht bei der Aktion geprüft wird; ein im Browser neu berechneter Preis; ein Freigabeschritt, den man überspringen kann. Keine dieser Lücken hat eine Signatur — man findet sie, indem man versteht, was die Anwendung tun soll.
Dazu kommt die Oberfläche, die der Browser nicht zeigt: die APIs. Sie tragen oft lockerere Kontrollen als die Oberfläche, die sie aufruft, weil niemand damit rechnet, dass sie direkt angesprochen werden. Diese Annahme hält der Prüfung selten stand.
- Zugriff auf Daten eines anderen Kunden durch blosses Ändern einer Kennung
- Berechtigungsprüfung bei der Anzeige vorhanden, bei der Aktion nicht
- API schwächer geschützt als die Oberfläche, die sie nutzt
- Geschäftsregel umgehbar, indem ein Schritt übersprungen wird
- Korrekturen ausgeliefert, ohne zu prüfen, ob sie halten
Fünf Schritte, einer davon oft vergessen
Wie wir vorgehen
Der Test läuft vorzugsweise auf einer Abnahmeumgebung, die der Produktion entspricht — mit repräsentativen, aber keinen echten Kundendaten.
Scoping und Zugänge
Umfang, Umgebung, zu prüfende Rollen und Rules of Engagement. Wir bitten um Konten jeder Berechtigungsstufe: Nur so lässt sich prüfen, dass ein einfacher Benutzer nicht kann, was eine Administration kann.
Funktionale Kartierung
Die Anwendung wie ein Benutzer durchlaufen, dann Einstiegspunkte, darunterliegende APIs und die sie steuernden Geschäftsregeln erfassen. Dieser Schritt bestimmt alles Weitere: Gut prüfen lässt sich nur, was man verstanden hat.
Manuelle Ausnutzung
Suche nach Mängeln in Berechtigung und Geschäftslogik, in Authentisierung und Sitzungsführung, nach Injections und verwundbaren Abhängigkeiten. Jeder Fund wird bis zum Nachweis seiner realen Wirkung ausgenutzt, nie als Verdacht belassen.
Priorisierte Rückgabe
Ein Bericht mit zwei Lesarten: was ein Angreifer erreichen konnte und was zu entscheiden ist, dann der technische Teil mit reproduzierbarem Nachweis und Korrekturvorschlag. Sortiert wird nach dem Risiko in Ihrem Kontext, nicht nach einem rohen Punktwert.
Nachtest
Nach der Behebung spielen wir die vereinbarten Szenarien erneut durch und prüfen, ob die Korrekturen halten und das Problem nicht bloss verschoben haben.
Mehrere Disziplinen, eine Ansprechperson
Der Test deckt auf, das Code-Review geht an die Wurzel, die Schulung verhindert die Wiederholung.
- Nach tatsächlichem Risiko priorisierter Bericht
- Von Ihren Teams reproduzierbarer Exploit-Nachweis
- Korrekturvorschlag zu jedem Befund
- Technische und Management-Präsentation
- Nachtest zur Bestätigung der Behebung
Häufige Fragen
Ihre Anwendung geht nächste Woche live?
Beschreiben Sie uns ihren Umfang — wir sagen Ihnen, was ein Test bis dahin abdecken kann.